svohost.exe或sxs.exe杀毒方法
作者：xmzhqw
前几天发现硬盘老是有个程序删不掉我就知道中毒了，把我的杀毒软件都关了,在重装根本就装不上,真是郁闷,就上网上查一下解决方法，整整用了四个小时才把病毒搞定。
有史以来第一次遭遇如此顽固的病毒，网上找了找，没有统一的名字，瑞星称为 Trojan.PSW.QQPass.pqb 病毒，我就叫它
sxs.exe病毒吧
重装系统后，双击分区盘又中了，郁闷，瑞星自动关闭无法打开，决定手动将其删除
现象：系统文件隐藏无法显示，双击盘符无反映，任务管理器发现 sxs.exe 或者 svohost.exe （与系统进程
svchost.exe 一字之差），杀毒软件实时监控自动关闭并无法打开
找了网上许多方法，无法有效删除，所谓的专杀工具根本对它没什么用。综合几个人的杀毒方法才把它彻底清除。现在把方法总结如下：
在以下整个过程中不得双击分区盘，需要打开时用鼠标右键——打开
一、关闭病毒进程
Ctrl + Alt + Del 任务管理器，在进程中查找 sxs 或
SVOHOST（不是SVCHOST，相差一个字母），有的话就将它结束掉（我的电脑里出现的是SVCHOST）注意别搞错了。
二、显示出被隐藏的系统文件
运行——regedit
HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL，将CheckedValue键值修改为1
这里要注意，病毒会把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue，并且把键值改为0！我们将这个改为1是毫无作用的。（有部分病
毒变种会直接把这个CheckedValue给删掉，只需和下面一样，自己再重新建一个就可以了）
方法：删除此CheckedValue键值，单击右键
新建——Dword值——命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。
在文件夹——工具——文件夹选项中将系统文件和隐藏文件设置为显示
三、删除病毒
在分区盘上单击鼠标右键——打开，看到每个盘跟目录下有 autorun.inf 和 sxs.exe 两个文件，将其删除。
四、删除病毒的自动运行项
打开注册表运行——regedit
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
下找到 SoundMam 键值，可能有两个，删除其中的键值为 C:\\WINDOWS\system32\SVOHOST.exe 的
最后到 C:\\WINDOWS\system32\ 目录下删除 SVOHOST.exe 或 sxs.exe
重启电脑后，发现杀毒软件可以打开，分区盘双击可以打开了。
五、后续
杀毒软件实时监控可以打开，但开机无法自动运行
最简单的办法，执行杀毒软件的添加删除组件——修复，即可
六、最新消息
瑞星已出了专杀工具，不幸中此病毒的朋友可以去下面地址，下载“橙色八月专用提取清除工具”
http://it.rising.com.cn/Channels/Service/2006-08/1154786729d36873.shtml
引用
说明：
8月初出现了大量针对主流杀毒软件编写的恶性病毒。它们除了具有常见危害外，还会造成主流杀毒软件和个人防火墙无法打开，甚至导致杀毒时系统出现“蓝屏”、自动重
启、死机等状况。
瑞星“橙色八月专用提取清除工具”专门针对此类病毒编写，可清除“QQ通行证（Trojan.PSW.QQPass）”、“传奇终结者（Trojan.PSW.Lmir）”、“密西木马
（Trojan.psw.misc）”等病毒及其变种。没有安装瑞星杀毒软件的用户可免费下载使用。
注：建议您重新启动计算机，按住F8键，选择“安全模式”，进入后使用此工具杀毒。
附：病毒列表上的病毒主要针对以下安全软件
卡巴斯基
Symantec AntiVirus
瑞星
江民杀毒软件
天网防火墙个人版
噬菌体
木马克星
金山毒霸
SVOHOST.EXE是什么进程
答案之一：“武汉男生变种MN(Trojan.QQMSG.WHboy.mn)”病毒:警惕程度★★★，木马病毒，通过网络传播，依赖系统:WIN9X/NT/2000/XP。
病毒运行后将自身复制到Windows系统目录下，文件名为“svohost.exe”，同时修改注册表项目实现开机自动运行。病毒将IE的首页修改为“http://www.
***iex.com”，使用户每次打开IE都会浏览该病毒网站。
答案之二：
windows下面的木马病毒。会自动关闭系统里的杀毒软件及注册表，任务管理器等窗体！病毒还会修改IE的主页，自动从网络上下载病毒并运行！
删除方法：
1）运行DOS命令行（开始--运行--输入CMD--回车），在提示符下输入tasklist 。应该会发现你说的svochost.exe这个进程。
2）taskkill /f /im svochost.exe 关闭进程。
3）搜索系统里的svochost.exe文件（包括隐藏文件和系统文件）还有lsasa.exe这个也要删除。
4）运行相关杀毒软件杀毒！
5）即使病毒删除后，还会有一些负面影响，比如txt,exe文件的关联被修改..===
SVOHOST的解决方法！
我电脑最近开机就出现SVOHOST这个进程（任务管理器中）。点击结束进程就行。但每次都出现。用超级兔子木马专杀试了下，不管用，安全状态下也不管用。我的卡巴斯基
根本检查不出来，怎么办呢？
各位大侠帮帮忙。谢谢！
svohost.exe是Trojan-Proxy.Win32.Agent.if木马相关程序，建议立即删除。
病毒运行后会将自身复制到系统目录下，文件名为“SVOHOST.exe”和“hsoft.exe”。同时在注册表中添加Run/SoundMam信息，实现开机自动运行或打开文本文件时自动运
行。该病毒会自动向QQ好友发送内容为“让我成功申请x位QQ号和Q币动画,朋友推荐我的,你看看http:
//www.***iex.com/abc.exe”等的消息，用户点击消息中的网址就有可能被病毒感染。
同时还有以下症状：
1、卡巴司机无法启动（后来知道是系统服务被禁用了）。
2、无法察看隐藏文件（修改注册表）
3、病毒文件在system32文件夹找不到。。
4、在启动项里面有个svohost.exe,改启动项之后发现还是会被自动添加。。。。
估计病毒文件是隐藏的。。
后来我再来补另一位朋友的解决心得吧：
病毒的删除
1.打开CMD.输入命令tasklist回车查看一下..果然发现了这个进程:svohost.exe(虽然他禁用了任务管理器,但在CMD下用tasklist命令还是可以查看到进程信息的)
2.关了他.输入命令taskkill /f /im svohost.exe
提示成功.
3.搜索svohost.exe这个文件(把搜索隐藏文件也勾上)搜索到后删除!似乎有两个.一个是完全大写的.一个是完全小写的.事实上还有一个程序叫lsasa.exe的也得删除.他模仿
的是WINDOWS的正常进程lsass.exe.操作到这里大家应该可以打开注册表
任务管理器了但是得恢复TXT文件关联和恢复EXE文件关联
备注 部分会员出现结束进程后病毒 暂时失效 但是重起后死灰复燃 请注意在造作成功后 马上利用自己的杀毒工具 或者 QQ专杀进行杀毒
因为这个时候病毒的壳被去掉了 我们可以抓住这个时机做下杀毒
4.本以为没问题了.后来还发现一个问题.他还修改了注册表的一处,使文件夹选项中对隐藏文件的设置始终为"不显示隐藏文件"，这么做的主要目的在于让你在WINDOWS环境
下找不到被设定隐藏属性的病毒源文件.但这里还有几种手段可以找到他.
1.用WINDOWS的搜索.只要在高级选项里把"搜索隐藏的文件和文件夹"勾上就可以找到了.
2.在命令提示符里用dir
/a命令也可以查看到.麻烦一点罢了.由于WINDOWS和SYSTEM32目录下文件太多.用dir命令的时候.最好再加一个参数.dir /a
/p这样会更好.
我们到注册表里去把他改回正常状态.
打开注册表.找到HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL这个键.看右边.找到一个CheckedValue的值.我注意
到这个该死的病毒居然把他改成了字符串值.如果你不小心的话.也许会认为改了也没用.把这个值删除.重建一个DWORD的值为CheckedValue.把他的值设为1.
改了注册表，显示了隐藏文件把svohost删了好像就没有事了
1、首先打开任务管理器，结束SVOHOST.EXE的进程。
2、我的电脑，工具>>文件加选项>>查看>>把“隐藏受保护的操作系统文件（推荐）”之前的钩钩取掉。
3、右击C盘（假设windows系统安装在C盘）>>打开，然后到C:\WINDOWS\system32\下找到SVOHOST.EXE删除掉。这里不能用搜索的，因为搜索不到的。
4、开始>>运行msconfig>>启动>>把SVOHOST.EXE的启动项取消
5、开始>>运行cmd>>用dir /a的命令检查所有盘符下有没有sxs.exe和autorun.inf两个文件，有的话，用下面的方法全部删除：
取消这两个文件的隐藏属性
输入attrib -a -s -h -r sxs.exe命令执行
再输入attrib -a -s -h -r autorun.inf命令执行
把这两个文件分别删除
输入del sxs.exe和del autorun.inf
6、最后一步，开始>>运行regedit>>找到注册表HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2目录下的{e94c3812-d758-11da
-8647-806d6172696f}、{e94c3813-d758-11da-8647-806d6172696f}等的表信息，删除即可
